Emailing et RGPD : les règles à respecter pour éviter les ennuis

Digital · 27 octobre 2026

« Avec le RGPD, on ne peut plus rien envoyer » : c'est la phrase que j'entends le plus souvent chez les dirigeants de PME. C'est faux — on peut envoyer des emails, à condition de respecter quelques règles simples. Le vrai risque n'est pas le texte, c'est les mauvaises habitudes : bases achetées, consentements introuvables, désinscriptions impossibles. Petit tour d'horizon de ce qui compte vraiment.

Ce que dit le RGPD, en langage normal

Le règlement européen sur les données personnelles repose sur une idée simple : l'adresse email de quelqu'un ne vous appartient pas. Pour l'utiliser à des fins de prospection, il vous faut une base légale — dans la grande majorité des cas, le consentement de la personne, donné librement, de façon éclairée et prouvable. Toute la conformité emailing tient dans ces trois adjectifs.

Librement : pas de case pré-cochée, pas de consentement enfoui dans des conditions générales. Éclairé : la personne sait ce qu'elle va recevoir, de qui, et à quelle fréquence approximative. Prouvable : vous devez pouvoir montrer quand, où et comment le consentement a été recueilli. Un formulaire d'inscription avec mention claire et enregistrement de la date suffit largement pour une PME.

Le cas particulier du B2B

Bonne nouvelle pour la prospection entre professionnels : en France, l'emailing B2B bénéficie d'un régime plus souple. Vous pouvez écrire à une adresse professionnelle sans consentement préalable, à deux conditions : le message doit avoir un rapport avec la profession du destinataire, et vous devez l'informer de son droit d'opposition avec un moyen simple de se désinscrire. Écrire à un plombier pour lui vendre des logiciels de devis est légal ; lui vendre un voyage ne l'est pas.

Attention aux adresses génériques et aux indépendants : une adresse type « jean.dupont@ » reste une donnée personnelle même professionnelle, et un artisan solo est souvent assimilé à un particulier. Dans le doute, appliquez la règle du B2C : consentement d'abord.

Les mentions obligatoires dans chaque email

Chaque envoi doit contenir trois éléments : l'identité de l'expéditeur (raison sociale, pas un nom de domaine obscur), un lien de désinscription fonctionnel, visible et immédiat — pas de « répondez à cet email pour vous désabonner » — et, pour les emails de prospection, une mention rappelant d'où vient l'adresse si elle n'a pas été donnée directement. Votre logiciel d'emailing gère le désabonnement automatiquement ; vérifiez juste qu'il est bien présent et qu'il fonctionne.

Les pratiques qui vous mettent en danger

Trois habitudes à bannir définitivement. L'achat de bases : les fichiers vendus au kilo contiennent des consentements que vous ne pouvez pas prouver — et souvent des pièges à spam qui ruinent votre réputation d'expéditeur. La récupération sauvage : aspirer des emails sur des sites web ou des annuaires pour les ajouter à votre newsletter. Et la désinscription en trompe-l'œil : un lien qui ne marche pas ou qui « prend quelques semaines ». Au-delà du RGPD, ces pratiques détruisent votre délivrabilité — Gmail et Outlook punissent plus vite que la CNIL.

Faut-il un registre, un DPO, des fiches compliquées ?

Pour rassurer les petites structures : non, le RGPD n'impose pas à une PME de dix salariés la batterie documentaire d'un grand groupe. Le registre des traitements n'est obligatoire qu'au-delà de 250 salariés, sauf si vos traitements sont réguliers et non ponctuels — ce qui, pour une newsletter mensuelle, est le cas en théorie ; en pratique, un document simple décrivant « nous collectons des emails pour notre newsletter, voici comment, voici qui y a accès » suffit à jouer le jeu de bonne foi. Le délégué à la protection des données n'est exigé que pour les organismes publics et les traitements massifs : vous n'y êtes pas. Ce qui reste non négociable, c'est le trio consentement-information-désinscription décrit plus haut.

La checklist de la PME tranquille

Pour dormir tranquille : des inscriptions uniquement par formulaire ou demande explicite, avec mention claire ; la date et la source de chaque consentement conservées dans votre outil ; un lien de désinscription fonctionnel testé régulièrement ; une base nettoyée des inactifs et des rebonds au moins une fois par an ; et une mention dans votre politique de confidentialité expliquant ce que vous faites des adresses collectées. C'est tout — et c'est à la portée de n'importe quelle entreprise de dix salariés.

Le RGPD n'interdit pas l'emailing, il interdit l'emailing paresseux. Ceux qui y perdent sont les vendeurs de fichiers ; ceux qui y gagnent sont les entreprises qui construisent une vraie liste de gens qui ont envie de les lire.